imap-smtp-email

核心用法

该Skill是一套完整的邮件客户端工具集，基于Node.js实现，通过标准IMAP/SMTP协议与邮件服务器通信。核心功能分为两大模块：

IMAP接收模块：支持检查新邮件/未读邮件、按UID获取完整邮件内容、搜索邮件（支持未读/已读筛选、发件人/主题模糊匹配、时间范围过滤）、标记已读/未读状态、列出邮箱文件夹、下载附件（支持单文件或批量下载）。

SMTP发送模块：支持纯文本/HTML邮件、多收件人/CC/BCC、附件添加（多文件支持）、发件人覆盖。内置连接测试功能，可快速验证配置。

多账户管理：通过环境变量前缀机制（如WORK_IMAP_HOST）实现多账户配置，支持一键切换，共享文件访问白名单。

显著优点

• 兼容性广：原生支持Gmail、Outlook、163/126/188系列、QQ邮箱等主流服务商，提供现成配置模板
• 安全设计完善：配置文件600权限保护、文件访问白名单机制（ALLOWED_READ_DIRS/ALLOWED_WRITE_DIRS）、强制TLS/SSL加密传输
• 凭证安全引导：明确提示Gmail需用App Password、163需用授权码，避免用户误用主密码
• 零外部依赖：除邮件服务器外不调用任何第三方API，数据不经过中间服务器

潜在缺点与局限性

• T3来源风险：作者为GitHub个人开发者（galaxygx1983，2024年4月注册），无组织背书，长期维护不确定性
• 凭证本地存储：密码/授权码以明文形式存储于本地.env文件（虽有权限保护），存在被root或其他进程读取的风险
• 无端到端加密：邮件内容对邮件服务商可见，不适合传输高度敏感信息
• Node.js依赖：需要本地Node和npm环境，对纯终端用户有一定门槛

适合人群

• 需要自动化邮件处理的技术用户/开发者
• 多邮箱账户管理需求者（工作+个人）
• 希望自建邮件工作流、不信任第三方邮件客户端的用户

常规风险

• 凭证泄露风险：配置文件被窃取可导致邮箱完全控制
• 邮件服务商风控：频繁自动化操作可能触发Gmail/163等服务商的安全限制
• 社会工程攻击：邮件内容可能被钓鱼利用，需警惕自动下载附件的安全风险

核心用法

该 Skill 是一款基于 Node.js 的 IMAP/SMTP 邮件客户端工具，通过命令行脚本实现完整的邮件收发功能。核心模块分为 IMAP（接收）和 SMTP（发送）两大部分：

接收邮件（IMAP）：支持检查新邮件/未读邮件、获取完整邮件内容、下载附件、多条件搜索（按发件人、主题、时间范围等）、标记已读/未读状态、列出邮箱文件夹等功能。命令格式为 node scripts/imap.js [账户] <command> [options]。

发送邮件（SMTP）：支持纯文本/HTML 邮件、多收件人/抄送/密送、附件上传、从文件读取主题或正文等。命令格式为 node scripts/smtp.js [账户] send --to <email> --subject <text> [options]。

多账户管理：通过环境变量前缀（如 WORK_IMAP_HOST）实现多账户配置，使用 --account <name> 参数切换账户，非常适合需要同时管理工作邮箱和个人邮箱的用户。

显著优点

• 广泛兼容性：原生支持 Gmail、Outlook、163/126/188 系列、QQ 邮箱等国内外主流服务商，也支持任意标准 IMAP/SMTP 服务器
• 企业级安全设计：实现目录白名单（ALLOWED_READ_DIRS/ALLOWED_WRITE_DIRS）、路径遍历防护、文件名清理（sanitizeFilename）、配置文件 600 权限等多重安全机制
• 凭证管理规范：密码存储在 ~/.config/imap-smtp-email/.env 且权限严格限制，支持 Gmail App Password、163 授权码等现代认证方式
• 功能完整度高：覆盖邮件管理的完整生命周期，附件支持批量下载和单文件指定，搜索条件丰富灵活
• 来源极度可信：网易（NetEase）官方开发，T1 级可信来源，MIT 开源协议，代码完全透明

潜在缺点与局限性

• 凭证明文存储：虽然文件权限已限制为 600，但密码仍以明文形式存储于本地，存在系统被入侵后的泄露风险（暂未集成系统密钥链或 OAuth2）
• 无附件大小限制：当前未对附件大小设限，大附件可能导致内存或磁盘空间问题
• 网络依赖性强：必须连接外部邮件服务器，离线环境无法使用
• 配置门槛存在：需要手动配置 IMAP/SMTP 服务器参数，对非技术用户有一定学习成本
• 日志脱敏不足：错误日志可能包含完整的邮箱地址等敏感信息

适合人群

• 需要自动化邮件处理的技术用户（开发者、运维工程师、数据分析师）
• 多邮箱账户管理者（工作+个人邮箱切换场景）
• 企业 IT 部门批量邮件发送或监控系统
• 需要集成邮件功能到自动化工作流的效率工具用户

常规风险

| 风险类别 | 等级 | 说明 |

|---------|------|------|

| 凭证泄露 | 中 | 明文存储密码，依赖系统环境安全 |

| 数据外泄 | 低 | 功能预期内的外部网络通信，全程 TLS 加密 |

| 路径遍历 | 低 | 已实现白名单和路径验证防护 |

| 恶意代码 | 极低 | 无 eval/exec，无动态加载，静态分析通过 |

建议用户：使用应用专用密码而非主密码、确保配置目录权限为 700、定期轮换凭证、监控异常网络连接。